Binance bevestigt dat zijn eigen hotwallet is geraakt

Binance bevestigt dat zijn eigen hotwallet is geraakt en ruim $6,34 miljard aan bedrijfsmiddelen reserveert om getroffen activa te dekken, zegt co-CEO Richard Teng in een video van 30 oktober.

Uitgaande cryptobetalingen via Binance blijven afhankelijk van een opnamedienst die opnieuw wordt opgebouwd en getest. Teng mikt op hervatting vóór zondag, binnen circa 40 uur. Voor Nederlandse organisaties met digitale assets op het platform blijft een zichtbaar saldo iets anders dan toegang tot de waarde.

De machtiging omzeilde de normale goedkeuring

Binance vermoedde aanvankelijk dat een laptop van een DevOps-medewerker was overgenomen, maar zegt inmiddels extra inbraakpunten te hebben gevonden. Teng zegt dat de aanvaller EIP-7702 gebruikte, een Ethereum-functie waarmee een account uitvoering kan delegeren. De machtiging gaf de aanvaller toestemming om rechtstreeks op de blockchain opdrachten uit te voeren in een Binance-hotwallet zonder de normale goedkeuringscontroles te doorlopen.

Ook gebruikte de aanvaller een zelfvernietigingsmechanisme dat hulpmiddelen en sporen verwijderde. Daardoor is het verloop van de aanval nog niet vastgesteld. Binance bouwt de opname-infrastructuur opnieuw op en schakelt die pas na tests weer in. Het bedrijf controleert ook apparaten, clouddiensten, sleutelbeheer en het ondertekenen van transacties.

Binance werkt met opsporingsdiensten, blockchainonderzoekers en tokenuitgevers aan het terugvinden van activa. Het technische rapport is nog niet afgerond.

Impact, verlies en reserve meten iets anders

De circa $6,3 miljard is een geschatte incidentimpact, geen vastgesteld nettoverlies. Binance noemde $6,3 miljard als geschatte totale impact en meldde circa $3 miljard aan bevroren activa op de blockchain. Bevriezing betekent niet dat tokens al naar Binance of hun eigenaar zijn teruggekeerd.

TRM Labs schat de uitstroom uit Binance-wallets op $6,36 miljard over tien blockchains, waardeert bevroren activa op circa $2,7 miljard en wijst met hoge zekerheid naar TraderTraitor, een Noord-Koreaans-gelinkte groep. Het grootste deel van de uitstroom zou in ongeveer twintig minuten zijn verplaatst. De schatting van bevroren activa ligt circa $300 miljoen onder Binance’ afgeronde $3 miljard. Geen van beide cijfers bewijst dat activa al naar klanten zijn teruggekeerd. De uitstroom telt de waarde die uit de gevolgde wallets ging, niet een gecontroleerde eindbalans na herstel.

Teng zegt dat Binance ruim $6,34 miljard aan bedrijfsmiddelen heeft gereserveerd om de activa te dekken. Daarvan zat $5 miljard al in de getroffen tokens, zoals USDC, USDT, bitcoin, ether en BNB. Binance koopt de resterende activa via de markt en buiten de beurs om. Een eerste openbaar overzicht van de reserves volgt volgens Teng vóór het volledige bewijs van reserves (Proof of Reserves) dat het bedrijf uiterlijk maandag wil delen. Die datum is Binance’ toezegging, geen onafhankelijke bevestiging dat activa al zijn aangevuld.

De hotwallet stond ook in de reservegegevens

Het walletlabel zegt op zichzelf niets over de dekking van klanttegoeden. Binance zegt dat de getroffen wallet van het bedrijf was en dat het geen klanttegoeden gebruikt. Volgens de beurs staan de meeste klantactiva in offline cold wallets. Voor een opname verplaatst Binance activa naar een hotwallet die met internet is verbonden.

CoinDesk bekeek de reservegegevens van Binance van 1 oktober en vond Binance 14, een wallet die bij de aanval betrokken was, in de lijst met activa tegenover klantbalansen. Volgens de analyse bevatte Binance 14 toen 89.475 ETH en 1,26 miljard USDT, naast 35 andere activa. Binance had op die datum precies genoeg ether om klanttegoeden te dekken. CoinDesk schat dat circa 204.500 ETH, toen ongeveer $442 miljoen waard, 5,6 procent van de ETH-reserves vertegenwoordigde en de dekking tijdelijk tot ongeveer 94 procent kon terugbrengen.

Die analyse bewijst niet dat klanten hun tegoed kwijt zijn. Wel maakt ze duidelijk dat walletbezit en dekking van klanttegoeden afzonderlijke vragen zijn. Binance zegt dat zijn nieuwe reservepublicatie het onderscheid controleerbaar moet maken. CoinDesk noemt 1 november als datum waarop Binance de reserves opnieuw vastlegt; de beurs belooft het volledige rapport uiterlijk maandag. De peildatum kan daardoor eerder liggen dan de rapportage.

De eerdere aanvallen laten andere uitkomsten zien

Binance schortte crypto-opnames op en meldde circa $3 miljard aan bevroren activa. De nieuwe verklaring benoemt de geraakte hotwallet en EIP-7702; extra inbraakpunten blijven in onderzoek.

France 24 meldt dat de geschatte Binance-impact boven de eerdere Bybit-diefstal van circa $1,5 miljard uit februari 2025 uitkomt. Bybit beschrijft in zijn eigen tijdlijn een vastgesteld verlies van $1,46 miljard uit één Ethereum-coldwallet. De bedragen zijn niet één op één vergelijkbaar: Bybit rapporteerde een verlies, terwijl de Binance-bedragen verwijzen naar impact en waarde van verplaatste activa. Bybit liet opnames doorgaan en meldde binnen 72 uur de dekking van ethertegoeden te hebben hersteld.

Een recenter vergelijkbaar geval is Bitget. De beurs becijferde de buit op circa $388 miljoen uit twaalf hot- en warmwallets. De officiële tijdlijn meldt dat cold wallets en privésleutels niet zijn geraakt en dat alle opnamekanalen op 2 oktober weer beschikbaar waren. De aanval begon via een kwetsbaarheid in een extern beveiligingsproduct, een andere route dan de machtiging die Binance nu beschrijft.

Voor een organisatie die digitale activa via een beurs bewaart, zijn saldo, opneembaarheid en reservebewijs afzonderlijke signalen. Binance zegt dat de opnamedienst pas terugkomt na herbouw en tests. De aangekondigde reservepublicatie moet laten zien of activa zijn aangevuld; het technische onderzoek moet nog verklaren hoe de goedkeuringsroute kon worden gepasseerd. Zolang beide vragen openstaan, bepalen beschikbaarheid en aantoonbare dekking samen hoeveel van een zichtbaar saldo direct inzetbaar is.